Solana sous le feu des critiques après un correctif privé d'une faille cryptographique majeure

La Fondation Solana a annoncé la correction d'une vulnérabilité potentielle sur le réseau qui aurait permis la frappe et le retrait illimités de jetons Token-2022 sur le réseau. La Fondation a confirmé aujourd'hui qu'elle avait résolu le problème en avril.

Selon l'annonce, le développeur de logiciels Solana Anza a reçu pour la première fois un rapport sur la vulnérabilité le 16 avril et a immédiatement collaboré avec d'autres développeurs majeurs du réseau, Jito et Firedancer, pour évaluer le rapport de vulnérabilité.

Après avoir confirmé qu'il s'agissait d'un véritable problème, les équipes ont travaillé sur un correctif pour y remédier. Le rapport a ajouté que des entreprises de sécurité blockchain, telles qu'Ottersec, Asymmetric Research et Neodyme, ont également apporté leur soutien et examiné le correctif avant son déploiement.

Curieusement, l'équipe a découvert une faille similaire dans une autre partie de la base de code tout en essayant de résoudre le problème initial et a dû développer un autre correctif pour le corriger également.

Malgré le délai, la Fondation Solana et l'équipe d'Anza ont commencé à contacter les validateurs d'ici le 17 avril et à leur distribuer le correctif afin qu'ils puissent effectuer la mise à niveau. À 20h00 UTC le 18 avril, une supermajorité du capital avait adopté le correctif, permettant à la Fondation de l'annoncer publiquement sur Discord.

Quelle est la vulnérabilité ?

L'approche discrète pour corriger la vulnérabilité a soulevé des questions quant à sa gravité potentielle pour le réseau. Selon la Fondation, la faille permet à toute personne disposant de l'expertise technique de créer des preuves arbitraires que le programme de preuve ZK EIGamal acceptera comme valides.

Ce programme joue un rôle clé dans l'exécution du transfert confidentiel Token-2022, car il vérifie si les preuves à divulgation nulle de connaissance (zero-knowledge proofs) certifiant la validité des soldes cryptés dans les transactions et les comptes sont correctes.

Il a déclaré :

« Un attaquant sophistiqué pourrait utiliser ces composants non hachés pour développer une preuve falsifiée d'une action non autorisée qui passe la vérification. »

Cependant, la vulnérabilité n'affecte que les jetons confidentiels Token-22, qui est une norme de jeton peu courante sur Solana. Selon Coingecko, la capitalisation boursière des pièces Token-2022 sur Solana n'est que de 16,5 millions de dollars. Néanmoins, la faille aurait permis à un attaquant de frapper des jetons Token-2022 en quantité illimitée ou de retirer tout jeton de ce type de n'importe quel compte. Heureusement, aucun rapport d'exploitation de la faille n'a été signalé.

Les utilisateurs de crypto critiquent la correction discrète de Solana

Pendant ce temps, la décision de la Fondation Solana de résoudre discrètement le problème avant de l'annoncer publiquement a suscité un débat sur le degré de décentralisation de Solana. Le fondateur pseudonyme d'ETH Strategy, Cloutedmind, a exprimé son consternation face à l'incident, déclarant :

« Est-ce que j'entends bien ? Il y avait une vulnérabilité zero-day sur le mainnet de Solana et plus de 70 % des validateurs ont colludé en privé pour mettre à niveau et corriger la faille critique avant même qu'elle ne soit rendue publique. »

D'autres utilisateurs semblent partager une opinion similaire, avec un compte X affirmant même qu'il est possible pour les validateurs de prendre les actifs des utilisateurs à leur insu.

Cependant, de nombreux acteurs de Solana et utilisateurs de crypto-monnaies ont critiqué cette opinion, notant que c'est ainsi que fonctionnent tous les réseaux décentralisés. Le PDG de Helius Labs, Mert Mumtaz, a qualifié cette surprise d'absurde.

Le co-fondateur de Solana, Anatoly Yakovenko, a également ajouté que les validateurs sur Ethereum suivent le même processus, même si cela peut prendre plus de temps sur Ethereum.

Il a déclaré :

« Frère, ce sont les mêmes personnes pour atteindre 70 % sur Ethereum. Tous les validateurs Lido (Chorus One, P2P, etc.), Binance, Coinbase et Kraken. Si Geth doit pousser un correctif, je serai heureux de coordonner pour eux. »

Curieusement, d'autres membres de la communauté crypto ont salué la proactivité de la Fondation Solana à résoudre le problème immédiatement après sa découverte, tandis qu'un utilisateur a partagé un lien vers des nouvelles sur des développeurs de Bitcoin ayant secrètement corrigé une faille.